[科普中国]-域控制器

域控制器是指在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。

详细释义域控制器( Domain controller，DC)是活动目录的存储位置,安装了活动目录的计算机称为域控制器。在第一次安装活动目录时,安装活动目录的那台计算机就成为域控制器,简称“域控”。域控制器存储着目录数据并管理用户域的交互关系,其中包括用户登录过程、身份验证和目录搜索等。一个域可以有多个域控制器。为了获得高可用性和容错能力,规模较小的域只需两个域控制器,一个实际使用,另一个用于容错性检査;规模较大的域可以使用多个域控制器。1

在对等网模式下，任何一台电脑只要接入网络，其他机器就都可以访问共享资源，如共享上网等。尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解。在由Windows 9x构成的对等网中，数据的传输是非常不安全的。

不过在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。

域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。

要把一台电脑加入域，仅仅使它和服务器在网上邻居中能够相互“看”到是远远不够的，必须要由网络管理员进行相应的设置，把这台电脑加入到域中。这样才能实现文件的共享。

组成域控制器中包含了这个域的用户账户、密码和属于这个域的电脑等信息构成的数据库。当电脑连入网络时，域控制器首先要鉴别这台电脑是否是属于这个域，用户使用的登录账号是否存在、密码是否正确。如果以上信息不正确，域控制器就拒绝该用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，只能以对等网用户的方式访问Windows共享的资源，这样就一定程度上保护了网络上的资源。

其实域和工作组在结构上很相似，只是表现形式有些不同：

1、工作组：只能将数量不多的电脑连成一个可互相共享资源的网络，在这种工作方式下，信息的安全保护只能靠给共享信息设置密码或将使用权限设置给特殊用户来实现。

2、域：采用域控制器来进行信息管理，每个用户都有自己的账号和密码，并且可根据不同的情况赋予不同的使用权限，这种方式不但使网络信息安全得到了非常好的保障，同时也满足了大中型网络的要求。2

域控制器操作服务器端设置以系统管理员身份在已经设置好Active Directory（活动目录）的Windows 2000 Server上登录，选择“开始”菜单中“程序”选项中的“管理工具”，然后再选择“Active Directory用户和计算机”，之后在程序界面中右击“Computers”，在弹出的菜单中单击“新建”，然后选择“计算机”，之后填入想要加入域的计算机名即可。要加入域的计算机名最好为英文，中文计算机名可能会引起一些问题。

客户端设置首先要确认计算机名称是否正确，然后在桌面“网上邻居”上右击鼠标，点击“属性”出现网络属性设置窗口，确认“主网络登录”为”Microsoft网络用户”。选中窗口上方的“Microsoft网络用户”（如果没有此项，说明没有安装，点击“添加”安装“Microsoft网络用户”选项）。点击“属性”按钮，出现“Microsoft网络用户属性”对话框，选中“登录到Windows NT域”复选框，在“Windows NT域”中输入要登录的域名即可。这时，如果是Windows 98操作系统的话，系统会提示需要重新启动计算机，重新启动计算机之后，会出现一个登录对话框。在输入正确的域用户账号、密码以及登录域之后，就可以使用Windows 2000 Server域中的资源了。请注意，这里的域用户账号和密码，必须是网络管理员为用户建的那个账号和密码，而不是由本机用户自己创建的账号和密码。如果没有将计算机加入到域中，或者登录的域名、用户名、密码有一项不正确，都会出现错误信息。

只读域控制器只读域控制器（RODC）是一种新型的用于 Windows Server 2008操作系统的域控制器，它的安全性得到了提高，同时能够更加快速的登录访问网络资源。在Windows Server 2008操作系统中，为了能够支持只读域控制器（RODC），在域名解析系统（DNS）中添加了新的活动目录域密码复制策略。而为了部署只读域控制器（RODC），在Windows Server 2008操作系统中必须至少运行一个可写域控制器。域的功能及和森林应该是Windows Server 2003系统中或其它更高系统中的单向复制，只读AD DS数据库，凭据缓存，管理员角色分隔等只读域控制器的功能。

保留最新活动目录状态活动目录（AD）不是一个静态的实体，而是一个动态数据集——驻留在数据中心内的域控制器内——执行既定规则和跟踪整个网络域的用户的当前状态和系统。基于Windows的网络可容纳多个域控制器。对于更大、更复杂的物理隔离的网络来说，域控制器可能是必不可少的。任何域控制器实例的变化最终会被复制到网络内的其他域控制器上。这个过程称为多主机复制。

然而，在任何域控制器发生更改时，会存在一个严重的同步问题。AD依靠一些元素来跟踪变化并确保将这些变化及时同步。其中最重要的两个元素是更新序列号（USN）和Invocation ID。

USN是一个64位的数字，每次增量变化发生在域控制器（如对象创建、修改或删除)。USN从不减少，永远是独一无二的，所以域控制器永远不会同时使用相同的USN。独特的USN好于时间戳，因为它几乎是不可能保持时钟同步或网段之间的延迟。一旦原始的USN产生增量，更改将复制到其他域控制器，相应的USN也会增加相同数量。

AD的变化是可以复制的，重要的是要确定所有的域控制器都经过更新。这里有两个元素：全局唯一标识符（GUID），基本上就是每个域控制器的静态“名字”；另一个是Invocation ID，基本上详细说明了每个AD更新的当前“状态”。例如，当恢复一个域控制器时，Invocation ID进行重置，其他域控制器要确保将改变发布到恢复的域控制器上。这是一个重要的问题。如果域控制器恢复不当，Invocation ID可能不会重置并更新域控制器来匹配其他域控制器——这将为企业造成严重的AD复制问题。

AD复制过程中还涉及其他元素来确定这些变化是必要的，并防止不必要的复制消耗网络带宽（甚至让复制过程失控），但是USN和Invocation ID是最常见的用来协调域控制器之间AD复制的数据元素。

域控制器变化域控制器活动目录森林可以通过升级或者迁移两种方式进行更新。需要知道域控制器更新前后，域控制器发生了哪些主要的变化。

域控制器的好处之一是，可以获得Windows Server 2012 R2域和森林级别的功能，域控制器包含了以前所有级别的功能所提供的优势。

域控制器功能升级后的缺点是，可能受限于只支持域控制器运行的操作系统。例如，如果将域控制器功能级别升级到Windows Server 2012，你只能使用运行Windows Server 2012和Windows Server 2012 R2功能级别的域控制器。

提高域控制器功能级别并不意味着所有的服务器都不能运行早期版本的操作系统。例如，你仍然可以在一个Windows Server 2012 R2功能级别的域控制器上运行Windows Server 2003服务器。

本词条内容贡献者为:

徐恒山 - 讲师 - 西北农林科技大学